El modelo «Zero Trust» se traslada al ámbito físico: aplicar el principio de «Nunca confíes, verifica siempre» a la seguridad física 

El modelo «Zero Trust» se traslada al ámbito físico: aplicar el principio de «Nunca confíes, verifica siempre» a la seguridad física 

Cuando pensamos en el modelo «Zero Trust», la mayoría de la gente se imagina redes, la nube, identidades, autenticación multifactorial, principio del mínimo privilegio, etc. Pero los mismos principios —dar por hecho que se ha producido una brecha de seguridad, verificar de forma continua, limitar la confianza— se aplican de forma igual de crucial al ámbito físico: acceso mediante tarjetas de identificación, datos biométricos, gestión de visitantes, diseño de las instalaciones, etcétera.

Para los directores de seguridad de la información (CISO), ampliar el modelo «Zero Trust» a la seguridad física ayuda a eliminar los puntos ciegos, reducir el riesgo derivado de amenazas internas o comportamientos negligentes y reforzar la resiliencia.

A continuación se exponen las razones por las que la verificación es esencial, cómo deben adaptarse los equipos de seguridad física, qué herramientas y procesos resultan útiles, y algunas medidas prácticas para su implementación.

Por qué es necesaria la «verificación»: estadísticas y factores de riesgo

Imagina entrar en un lugar de trabajo en el que todo el mundo da por hecho que la persona que lleva una tarjeta de identificación pertenece a ese lugar. Durante años, las organizaciones han confiado en las puertas, las tarjetas de identificación y los datos de acceso como primera línea de defensa. Pero hoy en día, esa confianza se está revelando peligrosamente frágil.

La magnitud del reto es abrumadora. Un informe de Ping Identity de 2024 reveló que el 97 % de las organizaciones tiene dificultades con la verificación de identidad—casi todo el mundo admite que es un problema. Y no se trata solo de los piratas informáticos externos. El error humano y el riesgo interno son los responsables de la mayoría de los incidentes: en 2024, el 95 % de las filtraciones implicaron algún tipo de error humano o uso indebido de credenciales, según la revista Infosecurity Magazine. Los malintencionados, ya sea de forma intencionada o accidental, saben que los controles débiles de identidad y acceso son un blanco fácil para su explotación.

Los riesgos tampoco se limitan a los espacios digitales. La seguridad física está mostrando fallos. Las investigaciones revelan que más del 60 % de las organizaciones sufrieron al menos una brecha de seguridad física en el último año, a menudo debido a un uso indebido o a una mala gestión de las credenciales de acceso. Una tarjeta de identificación extraviada, una puerta dejada abierta o un visitante sin verificar pueden tener consecuencias tan perjudiciales como el robo de una contraseña.

Las organizaciones están intentando dar respuesta a esta situación. El impulso hacia los modelos «Zero Trust» se está acelerando, y el 81 % de las empresas ya están trabajando en ello o han implantado marcos de «Zero Trust». En el centro de ese cambio hay una única verdad: la identidad y la verificación ya no son opcionales, sino que constituyen la base de la confianza.

Estas cifras lo dejan claro: no basta con confiar únicamente en las tarjetas de identificación físicas, las puertas o los límites de las instalaciones. Si no se verifica la identidad de la persona a la que corresponde la credencial, no se supervisa de forma continua el acceso y no se limita la confianza, las organizaciones están dejando puertas abiertas —tanto físicas como digitales— por las que los riesgos pueden colarse sin más.

Cómo se aplica el lema «Nunca confíes, verifica siempre» en la seguridad física

El modelo «Zero Trust» en el ámbito físico va más allá de la mera exigencia de tarjetas de identificación. Implica la garantía de identidad, la validación contextual, la verificación continua y el acceso basado en el riesgo. Estas son las dimensiones clave:

1. Acceso físico multifactorial
   Los sistemas tradicionales de tarjeta magnética o código PIN solo verifican algo que tienes o algo que sabes. La incorporación de datos biométricos (huella dactilar, reconocimiento facial, iris), combinada con tarjeta/PIN/contexto (hora del día, zona a la que se accede), aumenta los niveles de seguridad. Por ejemplo, la puerta de una sala de servidores podría requerir tarjeta + datos biométricos + confirmación del rol.

2. Revalidación continua de las credenciales
   No se debe dar por sentado que las credenciales son válidas para siempre. A medida que el personal cambia de puesto, abandona la empresa, se incorpora a nuevos proyectos o los contratistas finalizan su trabajo, se debe revisar y ajustar su acceso físico. Los derechos de acceso «caducados» son una fuente habitual de riesgo.

3. Privilegio mínimo y modelización de riesgos de los «activos más valiosos»
   No todos los espacios físicos tienen el mismo nivel de sensibilidad. Un muelle de carga no es lo mismo que un centro de datos o un laboratorio de I+D. El modelo «Zero Trust» requiere una modelización de riesgos: clasificar las zonas, definir qué se entiende por espacios «activos más valiosos» y aplicarles medidas de verificación y supervisión más estrictas. El acceso físico solo debe concederse a quienes lo necesiten, cuando lo necesiten y durante el tiempo que lo necesiten.

4. Controles de acceso contextuales y condicionales
   Al igual que en el ámbito cibernético, donde el acceso puede depender del estado del dispositivo, la ubicación o la hora, el acceso físico también puede depender del contexto. Por ejemplo:

1. Acceso permitido únicamente durante los turnos programados

2. No se permite el acceso desde determinadas zonas si ya se ha concedido acceso a otra persona desde otro lugar

3. Utilización de alarmas, sensores y análisis de vídeo para detectar situaciones físicas inusuales (aglomeraciones, personas que se pegan unas a otras, puertas que se quedan abiertas, etc.)

5. Auditoría, detección y respuesta ante incidentes
   Los registros de acceso físico, las grabaciones de vídeo, los datos de las tarjetas de identificación y los datos de los sensores deben integrarse en el sistema de supervisión. Los patrones inusuales (por ejemplo, alguien que accede con su tarjeta pero no realiza ninguna actividad, o que accede fuera del horario laboral, o que utiliza las credenciales de otra persona) deben activar alertas. Las operaciones de seguridad física deben formar parte de la planificación de la respuesta ante incidentes. Las grabaciones de vídeo, los registros de tarjetas de identificación y los registros de visitantes constituyen pruebas. Los equipos deben llevar a cabo simulacros que incluyan escenarios de intrusión física y cibernética.

El papel de los equipos de seguridad física y la supervisión a la hora de mitigar estos riesgos

Los CISO no pueden encargarse por sí solos de la seguridad física, sino que necesitan supervisión, coordinación y colaboración entre los distintos equipos:

• Superar los silos entre la seguridad cibernética y la seguridad física: La seguridad física (seguridad de las instalaciones o emplazamientos) suele estar separada de los equipos de ciberseguridad y TI. Para aplicar el modelo «Zero Trust», es necesario reducir esos silos. Los equipos de seguridad física deben familiarizarse con la gestión de identidades, los estándares de autenticación, los registros y la modelización de riesgos cibernéticos.

• Políticas y gobernanza claras: definir quién tiene acceso a qué y en qué condiciones. La gestión de visitantes, la emisión de tarjetas de identificación, la revocación de credenciales y el registro de dispositivos y sensores deben gestionarse de forma centralizada, con supervisión, auditoría y control de procesos.

• Formación y sensibilización: Al igual que se enseña a reconocer el phishing o las malas prácticas en materia de contraseñas, el personal debe comprender las normas básicas de seguridad física: por ejemplo, no prestar nunca la tarjeta de acceso, informar de la pérdida de las tarjetas, preguntar a quienes intentan entrar sin autorización y verificar la identidad de los visitantes. La negligencia o la ingeniería social pueden socavar incluso los controles mejor diseñados.

• Cumplimiento y rendición de cuentas: ¿Con qué rapidez se desactivan las credenciales inactivas? ¿Existen sanciones por infracciones reiteradas de las normas de acceso (por ejemplo, el «tailgating»)? ¿Cómo se gestionan las excepciones? Los responsables deben exigir que las deficiencias en la seguridad física se incluyan en los informes de riesgos, el cumplimiento normativo y las auditorías.

Herramientas y tecnologías que contribuyen a hacer posible el modelo «Zero Trust» físico

Para poner en práctica este tipo de enfoque, se necesitan determinadas herramientas e infraestructuras. Algunas son bien conocidas; otras están empezando a surgir.

Herramienta / Capacidad	Qué permite / Por qué es útil
Sistemas avanzados de control de acceso físico (PACS) con verificación de identidad	Sistemas que no solo comprueban que una tarjeta de identificación sea válida, sino que también verifican quién la está utilizando (tarjeta de identificación + datos biométricos o comparación de imágenes). Los sistemas PACS más antiguos o heredados podrían modificarse o integrarse para que funcionen siguiendo principios de verificación más estrictos.
Herramientas de gestión de visitantes y del ciclo de vida de las acreditaciones	Gestión de credenciales temporales, tarjetas de visitante y accesos de contratistas con fecha de caducidad; revocación del acceso cuando las personas abandonan la empresa o cambian de puesto; registro de los desplazamientos de los visitantes.
Análisis de vídeo y seguimiento del comportamiento	Detección de seguimiento demasiado cercano, análisis de multitudes y ocupación, puertas abiertas durante demasiado tiempo, detección de anomalías, integración de registros de vídeo y de acceso mediante tarjeta.
Sistemas de acceso basados en el contexto y en el riesgo	Sistemas que tienen en cuenta datos contextuales (hora, ubicación, identidad, dispositivo) a la hora de autorizar el acceso físico. Esto puede estar relacionado con los sistemas utilizados en el ámbito cibernético (IAM, motores de riesgo).
Integración y plataformas de datos	PACS, cámaras de vídeo, sensores, gestión de identidades, IAM, SIEM (gestión de información y eventos de seguridad) o herramientas SOAR. El objetivo es establecer correlaciones entre los datos físicos y digitales.
Herramientas de auditoría y cumplimiento normativo continuos	Revisiones periódicas de los derechos de acceso, las credenciales inactivas, la asignación de accesos basada en roles y la aplicación de políticas. Cuadros de mando con informes que muestran el nivel de riesgo físico.

Medidas prácticas para los CISO: hacia un modelo «Zero Trust» físico

A continuación se ofrece una hoja de ruta recomendada para que los CISO apliquen los principios de «cero confianza» en la seguridad física:

1. Elaborar un mapa de los activos físicos y las zonas
   Identificar todos los puntos de acceso físico, las áreas sensibles, las zonas y los tipos de personas (empleados, contratistas, visitantes) que acceden a ellas. Clasificar las zonas según su nivel de sensibilidad.

2. Capacidades actuales y carencias iniciales
   ¿Qué controles se aplican actualmente? ¿Sistemas de tarjetas de identificación? ¿Biometría? ¿Videovigilancia? ¿Alarmas con sensores? ¿Cómo se gestiona el ciclo de vida de las credenciales? ¿Existen políticas para los cambios de funciones y la gestión de visitantes? ¿Dónde se encuentran los puntos débiles (por ejemplo, el acceso no autorizado, el uso compartido de tarjetas o la pérdida de tarjetas)?

3. Definir los niveles de verificación para las zonas
   . Para las zonas de alta sensibilidad (por ejemplo, centros de datos, salas de servidores, laboratorios), exigir una verificación de identidad más rigurosa (multifactorial, biométrica). Para las zonas de menor sensibilidad, aplicar medidas menos estrictas, pero siempre controladas. Definir los criterios (quién, cuándo y mediante qué método).

4. Garantizar la gestión del ciclo de vida de las credenciales
   . Realizar auditorías periódicas para desactivar o retirar las tarjetas de identificación y los derechos de acceso cuando cambien las funciones o las personas dejen la empresa. Asegurarse de que las credenciales de los visitantes caduquen automáticamente. Mantener un directorio centralizado de todos los titulares de credenciales.

5. Vincular la identidad física con los sistemas de identidad digital
   Integrar el PACS (sistema de acceso físico) y la identidad para el acceso físico con la gestión de identidades y accesos (IAM) o los directorios de identidades. Utilizar la identidad digital del personal (función, estado) para determinar los derechos de acceso físico; utilizar la presencia física como contexto para los sistemas digitales cuando sea pertinente.

6. Implementar la supervisión continua y la detección de anomalías
   . Utilizar el análisis de vídeo, la correlación de registros y el análisis de patrones de comportamiento. Por ejemplo, alguien que intente acceder a una zona restringida fuera del horario de apertura o que se cuele siguiendo a otra persona. Enviar alertas tanto a los equipos de seguridad física como a los equipos de ciberseguridad y TI.

7. Realice pruebas y validaciones mediante simulaciones de mesa y ejercicios de «red teaming»
   . Lleve a cabo simulaciones de brechas de seguridad que incluyan intrusiones físicas, ingeniería social y uso indebido de credenciales. Evalúe cómo responden los equipos físicos y cibernéticos, qué pruebas se necesitan y con qué rapidez se detecta y se contiene la brecha.

8. Medir y elaborar informes sobre los indicadores clave de rendimiento (KPI) de seguridad física
   . Ejemplos: número de incidentes de acceso no autorizado; número de casos de uso indebido de credenciales o de credenciales perdidas o robadas; tiempo necesario para desactivar las credenciales tras un cambio de funciones; tiempo de detección de incidentes físicos; exposición al coste o al riesgo; cumplimiento de la política. Los informes deben llegar a la alta dirección o al consejo de administración como parte del cuadro de mando de métricas de seguridad.

Por qué es fundamental para los CISO ampliar el modelo «Zero Trust» a la seguridad física

Dado que los CISO se enfrentan a amenazas cada vez más combinadas —en las que el acceso físico puede servir de trampolín para un ataque cibernético—, la ampliación del modelo «Zero Trust» a la seguridad física ya no es opcional. La mentalidad de «nunca confíes, verifica siempre» debe ir más allá de los cortafuegos de red y los certificados de los dispositivos para abarcar la tarjeta de identificación que lleva alguien en el pecho, el escáner biométrico de la puerta y el registro de visitantes en recepción. Con las herramientas adecuadas, las políticas adecuadas, la cooperación entre equipos y una validación continua, la seguridad física puede convertirse en una capa integral de la arquitectura defensiva «Zero Trust» de una organización.

Preguntas frecuentes